#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: Intellexa - коммерческая компания, предлагающая клиентам сложные и незаметные шпионские программы для слежки. Несмотря на публичную огласку, компании удается вести и развивать свой бизнес по всему миру. Однако, чтобы предотвратить злоупотребление шпионскими технологиями и защитить уязвимые слои населения от нападений, необходимо публичное раскрытие технических анализов мобильного шпионского ПО и реальных образцов, позволяющих проводить общественный контроль.
-----

Intellexa - это коммерческая компания, которая продает клиентам незаметные и сложные шпионские решения для операций наблюдения. В 2021 году шпионская программа Predator компании Intellexa не могла пережить перезагрузку зараженной системы Android, но к апрелю 2022 года эта возможность была добавлена. Она по-прежнему не выдерживает сброса настроек до заводских, но вполне вероятно, что такая возможность появится. Intellexa Alliance - это коммерческая компания по производству шпионского ПО, созданная в Северной Македонии в 2017 году, в которую входят Nexa Technologies, WiSpear, Senpai Technologies и Cytrox. Предлагаемое шпионское ПО стоит дорого: фреймворк Predator - 13,6 миллиона евро, а платформа Nova - 8 миллионов евро.

Доставка Intellexa осуществляется через терминал или аэропорт по системе Cost Insurance and Freight (CIF), и компания утверждает, что у нее нет информации о том, где развернуты ее системы. Intellexa также нанимает высокоспециализированных инженеров, о чем свидетельствуют профили нескольких сотрудников в LinkedIn. Новые версии операционных систем, похоже, не оказывают существенного влияния на решение Predator, поскольку Intellexa поддерживает версии с 18-месячным сроком для Android и 12-месячным для iOS.

Публичное разоблачение коммерческих компаний, производящих шпионские программы, практически не повлияло на их способность вести и развивать свой бизнес по всему миру. Разоблачение режимов, проводящих вредоносные операции, мало повлияло на способность компаний, производящих шпионское ПО, зарабатывать деньги. Необходимо публичное раскрытие результатов технического анализа мобильных шпионских программ и реальных образцов, позволяющих общественности изучать их. Это позволит провести более глубокий анализ и потребует от производителей затрат на разработку, чтобы постоянно совершенствовать свои импланты.

#ParsedReport #CompletenessLow
21-12-2023

Android Banking Trojan Chameleon is Back in Action

https://www.threatfabric.com/blogs/android-banking-trojan-chameleon-is-back-in-action

Report completeness: Low

Actors/Campaigns:
Zombinder

Threats:
Chameleon
Securidropper

Industry:
Financial

Geo:
Italy, Poland, Australia, Australian

IOCs:
Hash: 2

Soft:
Android, Google Chrome, Opera, Chrome

Algorithms:
exhibit

Platforms:
intel

#ParsedReport #ExtractedSchema

Classified images:
schema: 1, windows: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея этого текста заключается в том, что банковский троян Chameleon - это постоянно развивающаяся и изощренная угроза, которая нацелена на пользователей Android в разных странах, и важно понимать все тонкости нового варианта, чтобы защититься от нее.
-----

Банковский троян Chameleon - это сложная форма вредоносного ПО, которое с января 2023 года атакует пользователей Android в Австралии и Польше. Он распространяется через фишинговые страницы, замаскированные под легитимные приложения, и способен выполнять атаки захвата устройства (DTO) с использованием службы доступности. Образцы Zombinder, относящиеся к обновленной версии Chameleon, используют сложный двухэтапный процесс создания полезной нагрузки. Этот обновленный вариант Chameleon расширил целевой регион и получил новые расширенные функции и возможности, встроенные в его вредоносную полезную нагрузку.

Новый вариант Chameleon нацелен на пользователей Android в Великобритании и Италии и даже способен обходить биометрические меры безопасности. Он использует API KeyguardManager и AccessibilityEvent для оценки состояния экрана и клавиатуры и выдает себя за приложение Google Chrome, чтобы распространяться через Zombinder. Кроме того, в новом варианте Chameleon появилась возможность планировать задачи с помощью API AlarmManager, чего не было в его более раннем "рабочем" варианте.

Появление нового банковского трояна Chameleon - пример постоянно развивающегося и изощренного ландшафта угроз в экосистеме Android. Благодаря повышенной устойчивости и расширенным возможностям важно понимать тонкости нового варианта Chameleon, чтобы разработать эффективную стратегию защиты от киберугроз. Для этого ThreatFabric's Fraud Risk Suite предоставляет лучшие в отрасли данные о мобильных угрозах, поведенческую аналитику, расширенный анализ отпечатков пальцев устройств и более 10 000 адаптивных индикаторов мошенничества. Это позволит пользователям и специалистам по безопасности быть спокойными в эпоху постоянно меняющегося мошенничества.

#technique

Cryptocurrency Miner Leveraging Microsoft Azure

https://www.safebreach.com/blog/cryptocurrency-miner-microsoft-azure/

#ParsedReport #CompletenessLow
22-12-2023

MageCart WordPress Plugin Injects Malicious User & Credit Card Skimmer

https://blog.sucuri.net/2023/12/magecart-wordpress-plugin-injects-malicious-user-credit-card-skimmer.html

Report completeness: Low

Actors/Campaigns:
Magecart

Threats:
Balada_injector
Socgholish_loader

Victims:
Wordpress / woocommerce ecommerce website

Industry:
E-commerce, Financial

TTPs:
Tactics: 1
Technics: 0

ChatGPT TTPs:
do not use without manual check
T1083, T1090, T1140, T1486, T1566, T1574, T1590, T1614, T1618

IOCs:
Url: 1
Domain: 2
IP: 1

Soft:
WordPress

Algorithms:
base64

Languages:
php, javascript

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: Владельцы сайтов электронной коммерции должны знать о рисках, связанных с вредоносным ПО MageCart, которое может внедрять на сайты сложные вредоносные программы для считывания данных с кредитных карт, и должны обратиться за помощью к аналитикам по безопасности, чтобы защитить свои сайты от вредоносных атак.
-----

Владельцы сайтов электронной коммерции должны знать, что вредоносные плагины могут использоваться для внедрения на их сайты сложного вредоносного ПО для считывания данных кредитных карт. Этот конкретный плагин, обнаруженный недавно на сайте WordPress / WooCommerce, создавал и скрывал фиктивного пользователя-администратора, внедряя код, предназначенный для кражи данных кредитных карт клиентов. Вредоносный код был помещен в файл mu-plugins/wp_services.php и содержал обманчивую информацию в верхней части файла, чтобы придать ему видимость легитимности.

Кроме того, вредоносная программа отключала функции обратного вызова для некоторых плагинов, таких как Advanced File Manager, чтобы предотвратить удаление вредоносной программы. Кроме того, она создавала и скрывала учетную запись администратора, предоставляя злоумышленникам постоянный доступ к среде.

Вредоносный код был сильно обфусцирован и при расшифровке приводил на сторонний сервер. Этот код обладал несколькими сложными функциями, включая условия, когда он будет выводить данные карты, и использование логотипов кредитных карт самого сайта при наложении на фальшивую страницу оформления заказа. Кроме того, он отправлял украденные данные карты на удаленный сервер, контролируемый злоумышленниками.

Вредоносная программа MageCart адаптировалась к экосистеме WordPress и теперь является одним из самых распространенных способов распространения этого типа вредоносного ПО. Владельцы сайтов должны следить за признаками заражения и обращаться к аналитикам безопасности, если они считают, что их сайт был взломан. Аналитики по безопасности доступны 24 часа в сутки 7 дней в неделю, чтобы оказать помощь и помочь защитить сайты от вредоносных атак.

#ParsedReport #CompletenessMedium
22-12-2023

Akira, again: The ransomware that keeps on taking

https://news.sophos.com/en-us/2023/12/21/akira-again-the-ransomware-that-keeps-on-taking

Report completeness: Medium

Threats:
Akira_ransomware
Megazord
Minidump_tool
Ntdsutil_tool
Credential_dumping_technique
Mimikatz_tool
Netscan_tool
Impacket_tool
Ligolo-ng
Nssm_tool
Anydesk_tool
Dwagent_tool

Victims:
Small to medium-sized businesses, government, manufacturing, technology, education, consulting, pharmaceuticals, and telecommunication sectors

Industry:
Education, Government, Telco, Healthcare

Geo:
America, Australia

CVEs:
CVE-2023-27532 [Vulners]
CVSS V3.1: 7.5,
Vulners: Exploitation: True
X-Force: Risk: 7.5
X-Force: Patch: Official fix
Soft:
- veeam backup \& replication (11.0.1.1261, 12.0.0.1420)

CVE-2023-20269 [Vulners]
CVSS V3.1: 9.1,
Vulners: Exploitation: True
X-Force: Risk: 5
X-Force: Patch: Official fix
Soft:
- cisco adaptive security appliance software (6.2.3, 6.2.3.1, 6.2.3.2, 6.2.3.3, 6.2.3.4, 6.2.3.5, 6.2.3.6, 6.2.3.7, 6.2.3.8, 6.2.3.9, have more...)


TTPs:
Tactics: 7
Technics: 0

IOCs:
Command: 3
Path: 22
File: 25
Registry: 1
IP: 4

Soft:
AnyConnect, Active Directory, Chrome, Google Chrome, KeePass, VmConnect, Hyper-V, Windows Defender, WinSCP

Algorithms:
zip

Languages:
powershell

Links:
https://github.com/sadshade/veeam-creds/blob/main/Veeam-Get-Creds.ps1
https://github.com/sophoslabs/IoCs

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея текста заключается в том, что команда Sophos MDR Threat Intelligence недавно опубликовала блог о группе разработчиков вымогательского ПО Akira, которая атаковала малые и средние предприятия в Европе, Северной Америке и Австралии. Они используют различные тактики, такие как несанкционированный вход в VPN, использование известных уязвимостей, утечка данных и развертывание программ-вымогателей. Sophos продолжает внимательно следить за активностью Akira ransomware и разрабатывать средства защиты для организаций, чтобы обнаружить и предотвратить подобные действия.
-----

Группа вымогателей Akira стала грозной угрозой в сфере кибербезопасности для малого и среднего бизнеса в мае 2023 года.

В первую очередь Akira нацелилась на организации, расположенные в Европе, Северной Америке и Австралии и работающие в правительственных, производственных, технологических, образовательных, консалтинговых, фармацевтических и телекоммуникационных отраслях.

Агенты Akira получают доступ к целевым средам в основном через несанкционированный вход в VPN без многофакторной аутентификации (MFA).

Они также используют известные уязвимости в самом программном обеспечении VPN и получают учетные данные, хранящиеся в базе данных Active Directory, или кэшированные учетные данные браузера Chrome.

Они используют протокол удаленных рабочих столов (RDP) с действительными учетными записями локальных администраторов и SMB для перемещения по целевым средам.

Чтобы сохранить постоянство и повысить уровень привилегий в скомпрометированной системе, агенты добавляют вновь созданного пользователя в ключ реестра Special Accounts.

Для управления и контроля (C2) субъекты угрозы используют популярный агент двойного назначения AnyDesk, а также установщик DWAgent для удаленного доступа.

Почти все наблюдаемые инциденты связаны с попытками агентов Akira вывести данные из целевых сред.

Время пребывания действующих лиц с момента первой замеченной активности до начала воздействия варьировалось от менее чем одного дня до 25 дней.

#ParsedReport #CompletenessMedium
21-12-2023

"NextPHP" Phishing Campaign

https://www.esentire.com/blog/nextphp-phishing-campaign

Report completeness: Medium

Threats:
Aitm_technique
Redrum
Dadsec_tool

Victims:
Esentire employees

Geo:
Emea, Japan, Apac, America, Africa

ChatGPT TTPs:
do not use without manual check
T1566.002, T1566.003, T1556.001, T1553.003

IOCs:
IP: 3
Domain: 1
File: 7
Url: 154

Algorithms:
xor

Languages:
javascript

Links:
https://github.com/esThreatIntelligence/phishing\_iocs/blob/main/NextPHP\_Campaign-11-2023.txt

#ParsedReport #CompletenessLow
22-12-2023

Microsoft: Hackers target defense firms with new FalseFont malware

https://www.bleepingcomputer.com/news/security/microsoft-hackers-target-defense-firms-with-new-falsefont-malware

Report completeness: Low

Actors/Campaigns:
Apt33 (motivation: cyber_espionage)
Dev-0343

Threats:
Falsefont
Password_spray_technique

Victims:
Individuals in the defense industrial base sector, thousands of organizations worldwide, defense agencies and contractors around the world

Industry:
Government, Military, Healthcare, Financial

Geo:
Chinese, Korean, Russian, Iran, Iranian, Korea

ChatGPT TTPs:
do not use without manual check
T1110, T1003

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея этого текста заключается в том, что Microsoft заметила, как иранский государственный актор, известный как APT33, пытается доставить новый бэкдор под названием FalseFont лицам из сектора оборонно-промышленной базы, и посоветовала защитникам сетей сбросить учетные данные учетных записей, на которые направлены атаки с распылением паролей.
-----

Компания Microsoft обнаружила, что иранский государственный субъект, известный как APT33 (также известный как Peach Sandstorm, HOLMIUM или Refined Kitten), пытается передать недавно разработанный бэкдор под названием FalseFont лицам, работающим в секторе оборонно-промышленной базы. FalseFont обеспечивает удаленный доступ, выполнение файлов и передачу файлов на командно-контрольные серверы. Эта группа угроз активна с 2013 года и нацелена на различные отрасли промышленности в США, Саудовской Аравии и Южной Корее.

Впервые FalseFont был замечен в дикой природе в начале ноября 2023 года. Чтобы уменьшить площадь атаки хакеров APT33, Microsoft рекомендовала защитникам сетей сбросить учетные данные учетных записей, ставших объектом атак с использованием паролей.

В сентябре Microsoft предупредила о кампании, координируемой угрожающей группой APT33, которая с февраля 2023 года атаковала тысячи организаций по всему миру. Атаки привели к краже данных у ограниченного числа жертв в оборонном, спутниковом и фармацевтическом секторах.

Два года назад исследователи из Microsoft Threat Intelligence Center (MSTIC) обнаружили еще одну хакерскую группу DEV-0343, связанную с Ираном. В последние годы оборонные ведомства и подрядчики по всему миру стали мишенью для российских, северокорейских и китайских государственных хакеров.

#ParsedReport #CompletenessHigh
22-12-2023

Operation RusticWeb targets Indian Govt: From Rust-based malware to Web-service exfiltration

https://www.seqrite.com/blog/operation-rusticweb-targets-indian-govt-from-rust-based-malware-to-web-service-exfiltration

Report completeness: High

Actors/Campaigns:
Rusticweb (motivation: cyber_espionage)
Transparenttribe
Sidecopy
Armor_piercer

Threats:
Spear-phishing_technique
Ares_rat
Emotet
Kamran

Industry:
Education, Government

Geo:
India, Indian, Pakistan

TTPs:
Tactics: 9
Technics: 23

IOCs:
Command: 2
Path: 15
Domain: 8
File: 13
Url: 14
Hash: 24

Soft:
Telegram, curl, BinDiff, AnyConnect

Algorithms:
zip

Languages:
powershell, golang, rust

Links:
https://github.com/danielbohannon/Invoke-Obfuscation/tree/master
https://github.com/somenonymous/OshiUpload

#ParsedReport #ExtractedSchema

Classified images:
schema: 2, windows: 2, code: 7, table: 1, dump: 1

#ParsedReport #GeneratedSchema
Generated with GPT-4

#ParsedReport #ChatGPT #Translated
Autotext: (RSTReportsAnalyser + ChatGPT + Google Translate|DeepL)

------
Основная идея: APT-группа SEQRITE Labs обнаружила фишинговую кампанию, направленную на различных сотрудников индийского правительства, начиная с октября 2023 года, в которой использовались полезные нагрузки на основе Rust, поддельные домены и зашифрованные команды PowerShell для утечки конфиденциальных документов. Предполагается, что эта кампания связана с APT-угрозой и направлена на индийских государственных служащих, связанных с детскими фондами или обществами.
-----

APT-группа SEQRITE Labs обнаружила фишинговую кампанию, направленную на различных сотрудников индийского правительства, начиная с октября 2023 года.

Кампания отслеживается как Operation RusticWeb и, предположительно, связана с APT-угрозой.

Поддельные домены использовались для размещения вредоносных полезных нагрузок и файлов-обманок.

Он использует новые полезные нагрузки на основе Rust и зашифрованные команды PowerShell для утечки конфиденциальных документов на веб-сервис.

Цепочка заражения начинается с фишингового письма, содержащего архивный файл.

Открывшийся файл-обманка представляет собой форму заявления о возврате недвижимого имущества, где служба указана как Индийская административная служба.

Полезная нагрузка EXE оказывается скомпилированным в Rust двоичным файлом, который проверяет основную информацию о системе, похищает файлы, собирает имя и IP системы и загружает отдельные файлы вместе с логами.

Еще одна похожая цепочка заражения была замечена в декабре с использованием maldocs, где для перечисления и эксфильтрации использовался скрипт PowerShell, а не полезная нагрузка на основе Rust.

Предполагается, что эта фишинговая кампания направлена на индийских государственных служащих, особенно тех, кто связан с детскими фондами или обществами.

Угрозы переключились на вредоносное ПО, разработанное на новых компилируемых языках, таких как Golang, Rust и Nim.